[방어] 분석 — CVE-2026-50297

• 심각도 high · CVSS 7.0 · EPSS 0.00213 · 악용난이도 hard

Win32K의 접근 제어 결함을 이용해 낮은 권한을 가진 로컬 사용자가 커널 모드 객체에 직접 접근하고, 토큰을 조작하여 SYSTEM 수준 권한을 획득합니다. 악용에는 높은 복잡도(AC:H)가 요구되지만, 성공 시 UI 없이 즉시 특권 상승이 이루어집니다.

악용 가능성: 이 취약점은 AV:L (공격자는 로컬 시스템에 직접 접근해야 함)으로, 원격 네트워크를 통한 초기 침투가 불가능하므로 공격 전제조건이 제한됩니다. AC:H (높은 난이도)라는 점은 성공적인 권한 상승을 위해 정확한 Win32K 내부 구조와 특정 커널 호출 시퀀스를 사전에 파악해야 하며, 일반적인 자동화 도구만으로는 이용하기 어렵다는 것을 의미합니다. PR:L (낮은 권한)에도 불구하고 공격자는 로컬 계정이라도 최소 권한을 가진 상태에서 시작할 수 있어, 초기 접근이 확보된 경우에는 후속 단계가 비교적 간단해집니다. UI:N (사용자 상호작용 없음)은 악성 코드 실행이나 피싱 등 별도의 사용자 행동이 필요 없으므로 일단 로컬에 진입하면 자동으로 권한 상승을 시도할 수 있습니다. EPSS 0.00213이라는 매우 낮은 실측 위험 점수와 KEV 미등재는 현재까지 실제 공격 사례가 거의 보고되지 않았으며, 위협 행위자가 이 취약점을 선택적으로 활용할 가능성이 낮다는 현실적인 근거를 제공합니다. 따라서 공격 표면은 Win32K 서브시스템에 노출된 커널 API 호출이며, 해당 API를 이용할 수 있는 로컬 프로세스(예: 서비스, 사용자 세션)만이 잠재적 진입점이 됩니다.

특권 상승이 성공하면 공격자는 시스템 전체를 장악할 수 있어, 파일·레지스트리 조작, 서비스 중단, 네트워크 트래픽 가로채기 등 모든 관리자 권한 작업을 수행할 수 있습니다. 특히 서버 환경에서는 원격 코드 실행 전 단계로 활용될 위험이 큽니다.

추정: Win32K와 유사하게 커널 객체 접근 제어가 미흡한 CWE‑284(Improper Access Control) 유형의 다른 취약점과 연계될 수 있습니다. 또한 토큰 조작을 이용하는 CWE‑269(Improper Privilege Management) 패턴과 결합하면, 권한 상승 후 지속성을 확보하기 위한 루트킷 로드 등으로 체인될 가능성이 있습니다.

• 로그 지표

  • Security 로그: Event ID 4672 (특권 할당) 또는 4688(프로세스 생성)에서 낮은 권한 계정이 SYSTEM 특권을 획득하는 이벤트.
  • Microsoft-Windows-Kernel-Audit ETW: win32k.sys에 대한 비정상적인 시스템 콜 시도(NtUser* 함수 호출).
  • Sysmon Event ID 10 (프로세스 접근)에서 AccessMask에 PROCESS_QUERY_INFORMATION·TOKEN_DUPLICATE가 포함된 저권한 프로세스의 토큰 복제 시도.

• SIEM 탐지 규칙 예시

  1. Token Elevation without UI

 1source=Security
 2| where EventID == 4672 and AccountDomain != "SYSTEM"
 3| summarize count() by TargetUserName, ProcessName, bin(TimeGenerated,5m)
 4| where count_ > 0

 1 *조건*: 낮은 권한 계정이 특권을 할당받았을 경우 알림.

2. Suspicious Win32K System Call (ETW)

 1source=Microsoft-Windows-Kernel-Audit
 2| where ProviderName == "Microsoft-Windows-Kernel-Process"
 3      and EventID == 12
 4      and Payload contains "win32k.sys"
 5      and Payload matches /NtUser[A-Za-z]+/

 1 *조건*: win32k.sys에 대한 비정상적인 시스템 콜 감지.

3. Low‑privilege Process Duplicating Token (Sysmon)

 1source=Sysmon
 2| where EventID == 10
 3      and GrantedAccess contains "TOKEN_DUPLICATE"
 4      and SubjectUserName != "SYSTEM"
 5      and ObjectName matches /\\Device\\HarddiskVolume.*\\Windows\\System32\\winlogon.exe/

 1 *조건*: 저권한 프로세스가 토큰 복제 시도 시 경고.

• 오탐 튜닝
  • 정상적인 관리 작업(예: 서비스 설치)에서 발생하는 TOKEN_DUPLICATE 이벤트는 SubjectProcessName이 “msiexec.exe” 또는 “sc.exe”인 경우 제외.
  • 시스템 부팅 직후의 대량 토큰 할당은 TimeGenerated가 부팅 시점과 겹치는 경우 무시하도록 시간 기반 필터링 적용.

• 즉시(긴급 차단)
  • AppLocker 정책: Executable 규칙을 만들어 신뢰할 수 없는 경로(예: 사용자 프로필 폴더)에서 실행되는 모든 바이너리를 차단하고, win32k.sys에 대한 직접 호출을 제한합니다.
    난이도: 중간 – 그룹 정책 편집

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.0 · non-KEV · EPSS=0.00213 · exploit=hard · in_scope=None